教育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案

SANGFOR

教育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案潦信留科技

教育行業(yè)信息安全等級(jí)保護(hù)

解決方案

編寫:________________

審核：________________

批準(zhǔn)：_________________

深信服科技有限公司

目錄

1概述..........................................................................5

1.1行業(yè)背景........................................................................5

1.2行業(yè)要求........................................................................5

1.3行業(yè)特點(diǎn)........................................................................7

1.4建設(shè)范圍..................................................................7

1.5建設(shè)內(nèi)容........................................................................7

2安全現(xiàn)狀分析..................................................................9

2.1安全現(xiàn)狀........................................................................9

2.1.1系統(tǒng)定級(jí)說(shuō)明...............................................................9

定級(jí)說(shuō)明..................................................................9

信息系統(tǒng)及業(yè)務(wù)子系統(tǒng).....................................................10

2.1.13業(yè)務(wù)系統(tǒng)說(shuō)明.............................................................10

系統(tǒng)定級(jí)總結(jié).............................................................11

2.1.2業(yè)務(wù)系統(tǒng)分析..............................................................11

2.1.3網(wǎng)絡(luò)結(jié)構(gòu)..................................................................11

2.1.4已有安全措施..............................................................12

3風(fēng)險(xiǎn)與需求分析...............................................................14

3.1信息系統(tǒng)風(fēng)險(xiǎn)分析..............................................................14

3.1.1應(yīng)用安全..................................................................14

Web攻擊與入侵...........................................................14

網(wǎng)頁(yè)篡改.................................................................16

網(wǎng)頁(yè)掛馬.................................................................17

業(yè)務(wù)連續(xù)性威脅...........................................................17

DDOS威脅................................................................17

敏感信息泄露.............................................................18

3.1.2主機(jī)安全..................................................................18

病毒感染.................................................................18

基線脆弱性配置...........................................................18

非法終端行為.............................................................18

設(shè)備資源監(jiān)控和預(yù)警.......................................................19

3.1.3網(wǎng)絡(luò)安全..................................................................19

3.13.1邊界隔離與訪問(wèn)控制缺失...................................................19

3.1.3.2網(wǎng)絡(luò)流量泛濫........................................................19

3.13.3迪訊信息泄礪.............................................................20

3.1.4數(shù)據(jù)安全..................................................................20

數(shù)據(jù)泄漏.................................................................20

數(shù)據(jù)審計(jì)缺失.............................................................20

3.2安全需求分析..................................................................21

3.2.1安全計(jì)算環(huán)境需求分析.........................................................21

3.2.2安全區(qū)域邊界需求分析.........................................................21

3.2.3安全通信網(wǎng)絡(luò)需求分析.................................................................................................................22

3.2.4安全管理中心需求分析.........................................................22

4安全框架和整體設(shè)計(jì)..........................................................24

4.1設(shè)計(jì)思路................................................................24

4.2總體技術(shù)路線............................................................25

4.2.1等級(jí)保護(hù)及行業(yè)系統(tǒng)合規(guī)性設(shè)計(jì)................................................................................25

4.2.2風(fēng)險(xiǎn)管理設(shè)計(jì)................................................................................................................25

4.2.3體系化設(shè)計(jì)方法............................................................................................................26

4.2.4縱深防御設(shè)計(jì)方法........................................................................................................26

4.3設(shè)計(jì)原則依據(jù).............................................................27

4.4安全域劃分...............................................................28

4.4.1安全域劃分原則............................................................................................................28

4.4.2信息系統(tǒng)定級(jí)................................................................................................................28

4.4.3安全域劃分....................................................................................................................28

5安全技術(shù)體系方案設(shè)計(jì)........................................................30

5.1安全計(jì)算環(huán)境設(shè)計(jì).........................................................30

5.1.1應(yīng)用安全防講................................................................................................................30

5.1.2應(yīng)用鏈路負(fù)載................................................................................................................30

5.1.3主機(jī)防病毒....................................................................................................................31

5.1.4數(shù)據(jù)防泄密防護(hù)............................................................................................................31

5.1.5數(shù)據(jù)庫(kù)審計(jì)....................................................................................................................31

5.1.6終端安全管控................................................................................................................32

5.1.7應(yīng)用代碼審計(jì)................................................................................................................33

5.1.8周期性滲透測(cè)試............................................................................................................36

5.1.9基線配置加固................................................................................................................38

5.2安全區(qū)域邊界設(shè)計(jì).........................................................38

5.2.1邊界隔離防滬................................................................................................................38

5.2.2A侵與惡意輯碼檢測(cè)....................................................................................................39

5.3安全通信網(wǎng)絡(luò)設(shè)計(jì).........................................................39

5.3.1流量管理控制................................................................................................................39

5.3.2通訊完整性保護(hù)............................................................................................................40

5.4安全管理中心設(shè)計(jì).........................................................40

5.4.1統(tǒng)一監(jiān)控與預(yù)警............................................................................................................40

5.4.2統(tǒng)一審計(jì)平臺(tái)................................................................................................................41

5.5剩余保護(hù).................................................................41

6安全管理體系方案設(shè)計(jì)........................................................42

6.1總體安全方針與安全策略...................................................42

6.2信息安全管理制度.........................................................43

6.3安全管理機(jī)構(gòu).............................................................43

6.4人員安全管理.............................................................44

6.5系統(tǒng)建設(shè)管理.............................................................44

6.6系統(tǒng)運(yùn)維管理.............................................................45

6.7安全管理制度匯總.........................................................47

7方案亮點(diǎn)及優(yōu)勢(shì)說(shuō)明..........................................................49

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

1概述

1.1行業(yè)背景

在日新月異的當(dāng)代社會(huì)，信息技術(shù)的迅猛發(fā)展既為我國(guó)企業(yè)與公共事業(yè)發(fā)展

帶來(lái)了契機(jī)，同時(shí)又面臨嚴(yán)峻的挑戰(zhàn)。作為教育行業(yè)，教書育人是基礎(chǔ)，必須加

快教育教學(xué)的信息化建設(shè)的步伐，推動(dòng)教育全面的管理變革，提高教育單位整體

素質(zhì)，最終提高教學(xué)單位核心競(jìng)爭(zhēng)力，保證行業(yè)的長(zhǎng)期平穩(wěn)發(fā)展。信息化發(fā)展能

極大促進(jìn)教育教學(xué)質(zhì)量的提升，沒(méi)有信息化就沒(méi)有教育的現(xiàn)代化，伴隨著信息化

水平不斷提升，網(wǎng)絡(luò)安全問(wèn)題也愈發(fā)嚴(yán)重，根據(jù)CNCERT/CC國(guó)家互聯(lián)網(wǎng)應(yīng)急響

應(yīng)中心統(tǒng)計(jì)，2015年我國(guó)境內(nèi)被篡改、入侵的網(wǎng)站數(shù)量高達(dá)24000多個(gè)，來(lái)自

境外的黑客組織頻繁這我國(guó)政府、高校發(fā)起敵對(duì)攻擊行為。

另外上級(jí)監(jiān)管機(jī)構(gòu)越來(lái)越重視教育行業(yè)信息安全的發(fā)展，教育部辦公廳2014

年連續(xù)發(fā)布《教育部公安部關(guān)于全面推進(jìn)教育行業(yè)信息安全等級(jí)保護(hù)工作的通

知》、《關(guān)于加強(qiáng)教育行業(yè)網(wǎng)絡(luò)與信息安全工作的指導(dǎo)意見(jiàn)》；并在2015年發(fā)布了

《教育部辦公廳關(guān)于組織開(kāi)展部屬單位信息安全等級(jí)保護(hù)工作的通知》，在通知

中教育部辦公廳強(qiáng)調(diào)，部屬高校應(yīng)在信息系統(tǒng)定級(jí)備案工作的基礎(chǔ)上，對(duì)照國(guó)家

相關(guān)標(biāo)準(zhǔn)規(guī)范，通過(guò)信息系統(tǒng)安全等級(jí)測(cè)評(píng)或者風(fēng)險(xiǎn)評(píng)估等方式確定整改需求,

對(duì)信息系統(tǒng)進(jìn)行加固和完善，落實(shí)安全保護(hù)技術(shù)措施和管理制度，提高網(wǎng)絡(luò)和信

息系統(tǒng)的整體保護(hù)能力。

為提升xxx學(xué)校xxx系統(tǒng)的安全建設(shè)基線，信息安全防護(hù)水平，落實(shí)好國(guó)家

監(jiān)管單位關(guān)于教育行業(yè)信息系統(tǒng)安全等級(jí)保護(hù)基本要求，結(jié)合xxx學(xué)校目前網(wǎng)絡(luò)

整體運(yùn)行安全現(xiàn)狀，整改編寫本等級(jí)保護(hù)完善建設(shè)方案。

1.2行業(yè)要求

□《教育部公安部關(guān)丁?全面推進(jìn)教育行業(yè)信息安全等級(jí)保護(hù)工作的通知》

□《教育行業(yè)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作指南（試行）》

5

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

□《關(guān)于加強(qiáng)教育行業(yè)網(wǎng)絡(luò)與信息安全工作的指導(dǎo)意見(jiàn)》

□《教育部公安皆關(guān)于全面推進(jìn)教育行業(yè)信息安全等級(jí)保護(hù)工作的通知》

□《關(guān)于開(kāi)展教育系統(tǒng)信息安全等級(jí)保護(hù)工作專項(xiàng)檢查的通知》

□《關(guān)于深入開(kāi)展教育行業(yè)信息系統(tǒng)安全等級(jí)保護(hù)工作的通知》

□《教育管理信息化建設(shè)與應(yīng)用指南》

□計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則(GB17859-1999)

□信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南(GB/T22240-2008)

□信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南(GB/T25058-2010)

□信息系統(tǒng)安全等級(jí)保護(hù)基本要求(GB/T22239-2008)

□信息系統(tǒng)通用安全技術(shù)要求(GB/T20271-2006)

□信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求(GB/T25070-2010)

□信息系統(tǒng)安全管理要求(GB/T20269-2006)

□信息系統(tǒng)安全工程管理要求(GB620282?2006)

□信息系統(tǒng)物理安全技術(shù)要求(GB/T21052-2007)

□網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求(GB/T20270-2006)

□信息系統(tǒng)安全等級(jí)保護(hù)體系框架(GA/T708-2007)

□信息系統(tǒng)安全等級(jí)保護(hù)基本模型(GA/T709-2007)

□信息系統(tǒng)安全等級(jí)保護(hù)基本配置(GA/T7102007)

□信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求(GB/T28448-2012)

□信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)過(guò)程指南(GB/T28449-2012)

□信息系統(tǒng)安全管理測(cè)評(píng)(GA/T713-2007)

□信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范(GB/T20984-2007)

6

SSSANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

□信息安全事件管理指南(GB/Z20985-2007)

□信息安全事件分類分級(jí)指南(GB/Z20986-2007)

□信息系統(tǒng)災(zāi)難恢更規(guī)范(GB/T20988-2007)

1.3行業(yè)特點(diǎn)

教育行業(yè)在信息安全領(lǐng)域，與其他行業(yè)對(duì)比，具備很多不同和獨(dú)特的特征，

給信息安全的建設(shè)帶來(lái)新的挑戰(zhàn)，例如：

信息系統(tǒng)數(shù)量眾多且情景復(fù)雜，系統(tǒng)私搭亂建情況層出不窮，管理維護(hù)不到

位；

令由于信息系統(tǒng)數(shù)量眾多，帶來(lái)繁瑣的定級(jí)備案工作和內(nèi)部高昂的管理成

本。

令校內(nèi)信息系統(tǒng)和終端用戶數(shù)量眾多，信息安全資金預(yù)算緊張。

令針對(duì)學(xué)生上網(wǎng)行為、言論的管控難度較大，輿情監(jiān)控力度不足，一旦發(fā)

生群體網(wǎng)絡(luò)事件或散布謠言等負(fù)面事件，無(wú)法迅速定位和反追蹤，會(huì)給

學(xué)校聲譽(yù)帶來(lái)嚴(yán)重影響和損失。

令門戶網(wǎng)站對(duì)網(wǎng)頁(yè)防篡改要求較高，一旦被黑客篡改，發(fā)布反動(dòng)等不良信

息，會(huì)造成惡劣的社會(huì)影響和機(jī)構(gòu)的聲譽(yù)損失。

力部門信息系統(tǒng)面臨學(xué)生成績(jī)、學(xué)籍等信息數(shù)據(jù)的篡改風(fēng)險(xiǎn)。

1.4項(xiàng)目建設(shè)范圍

本次項(xiàng)目涉及的范圍為XXX學(xué)校XXX系統(tǒng)。

1.5項(xiàng)目建設(shè)目標(biāo)

依照國(guó)家《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》、《信息系統(tǒng)安全等級(jí)保

護(hù)基本要求》、《信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南》等標(biāo)準(zhǔn)，以及XXX高校對(duì)信息

7

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

系統(tǒng)等級(jí)保護(hù)工作的有關(guān)規(guī)定和要求，對(duì)XXX高校的網(wǎng)絡(luò)和信息系統(tǒng)進(jìn)行等級(jí)保

護(hù)定級(jí)，按信息系統(tǒng)逐個(gè)編制定級(jí)報(bào)告和定級(jí)備案表，并指導(dǎo)XXX高校信息化人

員將定級(jí)材料提交當(dāng)?shù)毓矙C(jī)關(guān)備案。通過(guò)為滿足物理安全、網(wǎng)絡(luò)安全、主機(jī)安

全、應(yīng)用安全、數(shù)據(jù)安全五個(gè)方面基本技術(shù)要求進(jìn)行技術(shù)體系建設(shè)；為滿足安全

管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理五個(gè)方

面基本管理要求進(jìn)行管理體系建設(shè)。使得XXX高校網(wǎng)絡(luò)系統(tǒng)的等級(jí)保護(hù)建設(shè)方案

最終既可以滿足等級(jí)保護(hù)的相關(guān)要求，又能夠全方面為XXX高校的業(yè)務(wù)系統(tǒng)提供

立體、縱深的安全保障防御體系，保證信息系統(tǒng)整體的安全保護(hù)能力。本項(xiàng)目建

設(shè)將完成以下目標(biāo)：

1、以XXX高校信息系統(tǒng)現(xiàn)有基礎(chǔ)設(shè)施，建設(shè)并完成滿足等級(jí)保護(hù)三級(jí)系統(tǒng)

基本要求的信息系統(tǒng)，確保XXX高校的整體信息化建設(shè)符合相關(guān)要求。

2、建立安全管理組織機(jī)構(gòu)。成立信息安全工作組，明確安全責(zé)任人，擬定

實(shí)施信息系統(tǒng)安全等級(jí)保護(hù)的具體方案，并制定相應(yīng)的崗位責(zé)任制，確保信息安

全等級(jí)保護(hù)工作順利實(shí)施。

3、建立完善的安全技術(shù)防護(hù)體系。根據(jù)信息安全等級(jí)保護(hù)的要求，建立滿

足三級(jí)要求的安全技術(shù)防護(hù)體系。

4、建立健全信息系統(tǒng)安全管理制度。根據(jù)信息安全等級(jí)保護(hù)的要求，制定

各項(xiàng)信息系統(tǒng)安全管理制度，對(duì)安全管理人員或操作人員執(zhí)行的重要管理操作建

立操作規(guī)程和執(zhí)行記錄文檔。

5、制定xxx高校信息系統(tǒng)不中斷的應(yīng)急預(yù)案。應(yīng)急預(yù)案是安全等級(jí)保護(hù)的

重要組成部分，按可能出現(xiàn)問(wèn)題的不同情形制定相應(yīng)的應(yīng)急措施，在系統(tǒng)出現(xiàn)故

障和意外且無(wú)法短時(shí)間恢復(fù)的情況下能確保生產(chǎn)活動(dòng)持續(xù)進(jìn)行。

6、安全培訓(xùn)：為xxx高校信息化技術(shù)人員提供信息安全相關(guān)專業(yè)技術(shù)知識(shí)

培訓(xùn)

8

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

2安全現(xiàn)狀分析

2.1信息系統(tǒng)概況

2?1.1一卡通系統(tǒng)

此段主要描述定級(jí)系統(tǒng)概述，在定級(jí)報(bào)告里面有，復(fù)制拷貝即可。

2.1.2校園門戶網(wǎng)站

此段主要描述定級(jí)系統(tǒng)概述，在定級(jí)報(bào)告里面有，復(fù)制拷貝即可。

2.1.3招生管理系統(tǒng)

此段主要描述定級(jí)系統(tǒng)概述，在定級(jí)報(bào)告里面有，復(fù)制拷貝即可。

2.1.4學(xué)籍管理系統(tǒng)

此段主要描述定級(jí)系統(tǒng)概述，在定級(jí)報(bào)告里面有，復(fù)制拷貝即可。

2.2安全現(xiàn)狀

2.2.1系統(tǒng)定級(jí)說(shuō)明

定級(jí)說(shuō)明

針對(duì)本次等級(jí)保護(hù)建設(shè)，由深信服公司等級(jí)保護(hù)安全專家深入了XXX學(xué)校本

次項(xiàng)目涵蓋的各信息系統(tǒng)構(gòu)成、所提供的業(yè)務(wù)支撐，業(yè)務(wù)流程和系統(tǒng)服務(wù)對(duì)象,

分析系統(tǒng)發(fā)生安全事故所造成的影響，參照《信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南》，

對(duì)本項(xiàng)目的定級(jí)資料進(jìn)行進(jìn)一步的審核，確定業(yè)務(wù)流程描述是否清晰、服務(wù)客體

是否定位合理、造成影響的范圍是否準(zhǔn)確，進(jìn)一步協(xié)助貴局完善定級(jí)備案工作。

一個(gè)組織機(jī)構(gòu)內(nèi)可能運(yùn)行一個(gè)或多個(gè)信息系統(tǒng)，這些信息系統(tǒng)的安全保護(hù)等

9

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

級(jí)可以是相同的，也可以是不同的。為體現(xiàn)重點(diǎn)保護(hù)重要信息系統(tǒng)安全，有效控

制信息安全建設(shè)成本，優(yōu)化信息安全資源配置的等級(jí)保護(hù)原則，在進(jìn)行信息系統(tǒng)

的劃分時(shí)應(yīng)考慮以下幾個(gè)方面：

1）相同的管理機(jī)構(gòu)

信息系統(tǒng)內(nèi)的各業(yè)務(wù)子系統(tǒng)在同一個(gè)管理機(jī)構(gòu)的管理控制之下，可以保證遵

循相同的安全管理策略。

2）相同的業(yè)務(wù)類型

信息系統(tǒng)內(nèi)的各業(yè)務(wù)子系統(tǒng)具有相同的業(yè)務(wù)類型，安全需求相近，可以保證

遵循相同的安全策略。

3）相同的物理位置或相似的運(yùn)行環(huán)境

信息系統(tǒng)內(nèi)的各業(yè)務(wù)子系統(tǒng)具有相同的物理位置或相似的運(yùn)行環(huán)境意味著

系統(tǒng)所面臨的威脅相似，有利于采取統(tǒng)一的安全保護(hù)。

信息系統(tǒng)及業(yè)務(wù)子系統(tǒng)

按照信息系統(tǒng)的定義，典型的信息系統(tǒng)應(yīng)由計(jì)算機(jī)硬件設(shè)備（包括服務(wù)器設(shè)

備、客戶端設(shè)備、打印機(jī)及存儲(chǔ)器等外圍設(shè)備）、計(jì)算機(jī)網(wǎng)絡(luò)硬件設(shè)備（包括安

全設(shè)備、交換機(jī)、路由器、各種適配器以及通信線路等）、安裝于這些硬件設(shè)備

上的軟件、所提供的服務(wù)以及相關(guān)的人員構(gòu)成。信息系統(tǒng)內(nèi)的各業(yè)務(wù)子系統(tǒng)一般

有較為緊密的關(guān)聯(lián)，可能存在共用設(shè)備或較為頻繁的數(shù)據(jù)交換。

業(yè)務(wù)子系統(tǒng)是按照信息系統(tǒng)所承載的業(yè)務(wù)對(duì)信息系統(tǒng)進(jìn)行劃分所形成的子

系統(tǒng)。業(yè)務(wù)子系統(tǒng)是信息系統(tǒng)中可以為定級(jí)要素賦值的最小單元，業(yè)務(wù)子系統(tǒng)應(yīng)

具有信息系統(tǒng)的全部特點(diǎn)，應(yīng)該是由計(jì)算機(jī)硬件、計(jì)算機(jī)網(wǎng)絡(luò)硬件以及安裝于這

些硬件上的軟件、提供的服務(wù)以及相關(guān)人員構(gòu)成的一個(gè)有形實(shí)體，并且承載確定

的業(yè)務(wù)。

221.3業(yè)務(wù)系統(tǒng)說(shuō)明

XXX學(xué)校本次參加建設(shè)的共有x個(gè)信息系統(tǒng)，具體情況介紹如下：

門戶網(wǎng)站：門戶網(wǎng)站作為學(xué)校面向互聯(lián)網(wǎng)傳輸?shù)拿浇?，向用戶提供信息、?/p>

10

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

詢等服務(wù)。用戶通過(guò)門戶網(wǎng)站可以了解學(xué)校相關(guān)信息和其他動(dòng)態(tài)，也可以進(jìn)行相

關(guān)考試報(bào)名等服務(wù)。

……添加其他系統(tǒng)描述。

221.4系統(tǒng)定級(jí)總結(jié)

經(jīng)過(guò)前期調(diào)研和討論，綜合考慮了XXX學(xué)校XXX系統(tǒng)的業(yè)務(wù)信息和系統(tǒng)服務(wù)

類型，以及其受到破壞時(shí)可能受到侵害的客體以及受侵害的程度，經(jīng)研究決定為

(S3A3G3),根據(jù)就高不就低的原則，整體網(wǎng)絡(luò)信息化平臺(tái)按照三級(jí)進(jìn)行建設(shè)。

2.2.2業(yè)務(wù)系統(tǒng)分析

門戶網(wǎng)站作為學(xué)校面向互聯(lián)網(wǎng)傳輸?shù)拿浇?，向用戶提供信息、查詢等服?wù)。

用戶通過(guò)門戶網(wǎng)站可以了解學(xué)校相關(guān)信息和其他動(dòng)態(tài)，也可以進(jìn)行相關(guān)考試報(bào)名

等服務(wù)。

—其他系統(tǒng)分析補(bǔ)充—

此次方案涉及信息系統(tǒng)包括：門戶網(wǎng)站、XXX系統(tǒng)、XXX系統(tǒng)等。

業(yè)務(wù)信息系

部門信息系統(tǒng)性質(zhì)及使用范圍存放物理位置及維護(hù)方

統(tǒng)名稱

X層中心機(jī)房

信息綜合門用戶集中平臺(tái)、信息共享平臺(tái)、工作

信息中心

戶互助平臺(tái)、互動(dòng)交流平臺(tái)。

信息管理部技術(shù)維護(hù)

X層中心機(jī)房

學(xué)校學(xué)生信息，教師系統(tǒng)存放技術(shù)業(yè)

信息中心教務(wù)系統(tǒng)

務(wù)系統(tǒng)平臺(tái)。

信息管理部技術(shù)維護(hù)

2.2.3網(wǎng)絡(luò)結(jié)構(gòu)

XXX學(xué)校XXX系統(tǒng)網(wǎng)絡(luò)拓?fù)洮F(xiàn)狀如下:

II

SANGFOR

教育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深值展科技

電信教育網(wǎng)

對(duì)外服務(wù)越負(fù)數(shù)均歸F

運(yùn)維管理區(qū)

門戶網(wǎng)站

F-中安全管理中心

火0

接入域0

郵件系燒

防病星服務(wù)案

下Tt防火塔0

其他對(duì)外系線oe

一代防運(yùn)紹建壘機(jī)

I.阿行為火堵

0次海量管理Q

網(wǎng)管系比

一卡通系筑00

入侵松北/防聞系St

招生管理原第0

學(xué)n管理系統(tǒng)

火I

核心業(yè)務(wù)域

下一代防F一代防一代防|下一代防

火墻火?火墻0火墻

e000^0

行政樓sv?(Sfitt

vSphoro+vSan

VAF

虛擬化區(qū)域

2.2.4已有安全措施

＜網(wǎng)絡(luò)結(jié)構(gòu)

承載學(xué)校門戶網(wǎng)站、XXX系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)業(yè)務(wù)的互聯(lián)網(wǎng)出口目前現(xiàn)

網(wǎng)部署了X臺(tái)負(fù)載均衡設(shè)備、X臺(tái)網(wǎng)絡(luò)防火墻、X臺(tái)IPS設(shè)備，X臺(tái)X設(shè)備，X臺(tái)

XXX交換機(jī)作為互聯(lián)網(wǎng)出口整個(gè)網(wǎng)絡(luò)的核心層，樓層選用XXX交換機(jī)接入核心網(wǎng)

絡(luò)，為學(xué)校提供基礎(chǔ)網(wǎng)絡(luò)支撐。采用VLAN技術(shù)將網(wǎng)絡(luò)劃分為多個(gè)區(qū)域，包括服

務(wù)器區(qū)、網(wǎng)絡(luò)設(shè)備區(qū)和辦公電腦區(qū)。服務(wù)器區(qū)和網(wǎng)絡(luò)設(shè)備區(qū)使用固定IP地址，

辦公電腦區(qū)采用IP地址動(dòng)態(tài)分配。學(xué)校在互聯(lián)網(wǎng)區(qū)部署了門戶網(wǎng)站、網(wǎng)上招生

管理系統(tǒng)、招生錄取管理系統(tǒng)、XXX系統(tǒng)、XXX系統(tǒng)、xxx系統(tǒng)面向公眾和企業(yè)用

戶提供應(yīng)用服務(wù)。

為保障網(wǎng)絡(luò)系統(tǒng)的安全，學(xué)校業(yè)務(wù)互聯(lián)網(wǎng)出口網(wǎng)絡(luò)邊界處部署了傳統(tǒng)防火墻,

入侵防御系統(tǒng)，用于安全區(qū)域隔離及門戶網(wǎng)站群服務(wù)器的安全防護(hù)；

令網(wǎng)絡(luò)鏈路

12

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

學(xué)校采用x條x兆鏈路與互聯(lián)網(wǎng)相連，主要用于信息發(fā)布與互聯(lián)網(wǎng)訪問(wèn)服

務(wù)；X條移動(dòng)運(yùn)營(yíng)商、X條電信運(yùn)營(yíng)商、X條教育局鏈路。

令安全設(shè)備

經(jīng)過(guò)前期建設(shè)，學(xué)校校園網(wǎng)已部署了防火墻、IPS、負(fù)載均衡、XXX等安全設(shè)

備，安全設(shè)備的具體情況如下:

表安全設(shè)備情況表

序號(hào)設(shè)冬名稱數(shù)量設(shè)備主要技術(shù)參數(shù)

1XXX防火墻1

2XXX負(fù)載均衡1

3..........

4

5

6

7

8

9

13

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

3風(fēng)險(xiǎn)與需求分析

3.1信息系統(tǒng)風(fēng)險(xiǎn)分析

3.1.1應(yīng)用安全

Web攻擊與入侵

在信息化時(shí)代，Web網(wǎng)站常常作為信息系統(tǒng)對(duì)外的大門，向客戶提供各種

服務(wù)；于此同時(shí)，在信息安全領(lǐng)域中，Web攻擊所占的比重又是黑客入侵中最高

的。因此，發(fā)現(xiàn)和了解常見(jiàn)Web攻擊入侵手段利方法，更深入的了解潛在的敵

人，我們才能更有針充性的進(jìn)行防御和保護(hù)。

<SQL注入攻擊

描述

SQL注入攻擊是一個(gè)漏洞，攻擊者可以通過(guò)操縱服務(wù)器端用戶輸入的

SQL語(yǔ)句。當(dāng)一個(gè)SQL注入接受用戶輸入的Web應(yīng)用程序，直接放入

一個(gè)SQL語(yǔ)句，不正確地篩選出危險(xiǎn)的信息。是目前互聯(lián)網(wǎng)上應(yīng)用的一

個(gè)最常見(jiàn)的應(yīng)用層攻擊。

危害

攻擊者可以通過(guò)此漏洞來(lái)操縱系統(tǒng)上任意的SQL語(yǔ)句。這可能會(huì)危害數(shù)

據(jù)庫(kù)的完整性或者暴露敏感的信息。根捱所使用的后端數(shù)據(jù)庫(kù)，SQL注

入漏洞導(dǎo)致不同程度的攻擊數(shù)據(jù)或者訪問(wèn)系統(tǒng)。它可能不只是現(xiàn)有的查詢

操作，或者是任意數(shù)據(jù)聯(lián)盟、使用子查詢、追加額外的查詢。在某些情況

下，它可能會(huì)讀出或?qū)懭胛募蚩刂葡到y(tǒng)執(zhí)行上層命令。如Microsoft

SQLServer的某些SQL服務(wù)器包含存儲(chǔ)和擴(kuò)展程序（數(shù)據(jù)庫(kù)服務(wù)功能）。

如果一個(gè)攻擊者能夠訪問(wèn)這些程序有可能危及整個(gè)機(jī)器。

令跨站腳本攻擊（XSS）

14

SSSANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

描述

跨站腳本（也稱為XSS攻擊）是一個(gè)漏洞，攻擊者可以發(fā)送惡意腳木（通常

以JavaScript的形式）到另一個(gè)用戶。由于瀏覽器無(wú)法分辨此信息是否可

信，入侵者運(yùn)用腳本將Cookie保存了完整的用戶名和密碼資料保存到記

錄頁(yè)面中。

危害

>盜取各類用戶帳號(hào)，如機(jī)器登錄帳號(hào)、用戶網(wǎng)銀帳號(hào)、各類管理員

帳號(hào)；

>控制企業(yè)數(shù)據(jù)，包括讀取、篡改、添加、刪除企業(yè)敏感數(shù)據(jù)的能

力；

>盜竊企業(yè)重要的具有商業(yè)價(jià)值的資料；

>非法轉(zhuǎn)賬；

>session劫持（導(dǎo)致網(wǎng)絡(luò)蠕蟲）；

>強(qiáng)制發(fā)送電子郵件；

>網(wǎng)站掛馬；

>控制受害者機(jī)器向其它網(wǎng)站發(fā)起攻擊；

令腳本代碼暴露攻擊

描述

它可以讀通過(guò)使用腳本文件名作為參數(shù)，這個(gè)腳本的源代碼?？磥?lái)，這

個(gè)腳本包含一個(gè)確定的名字是使用用戶提供的數(shù)據(jù)文件。這個(gè)數(shù)據(jù)是不

正確驗(yàn)證之前被傳遞給包括功能。

危害

攻擊者可以收集敏感信息（數(shù)據(jù)庫(kù)連接字符串，應(yīng)用程序邏輯）通過(guò)分析

源代碼。這些信息可以被用來(lái)發(fā)動(dòng)進(jìn)一步襲擊。

令目錄穿越攻擊

描述

目錄穿越漏洞允許攻擊者訪問(wèn)受限制的目錄可以訪問(wèn)Web服務(wù)器的根目

15

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

錄。

危害

通過(guò)利用目錄穿越漏洞，攻擊者在一個(gè)Web服務(wù)器上使用這個(gè)軟件除了

可以訪問(wèn)服務(wù)器的根目錄外還可以訪問(wèn)目錄里面的數(shù)據(jù)，導(dǎo)致Web服務(wù)

器完全妥協(xié)、。

。代碼執(zhí)行攻擊

描述

當(dāng)輸出或者觸發(fā)服務(wù)器端代碼時(shí)，漏洞植入到代碼中。在有些不嚴(yán)密的

Web應(yīng)用程序中，用戶可以通過(guò)修改應(yīng)用程序發(fā)布到留言板或留言簿，

有時(shí)可能是注入的應(yīng)用程序本身的腳本語(yǔ)言代碼的服務(wù)器端文件。

危害

用戶可能會(huì)執(zhí)行與Web服務(wù)器權(quán)限外的任意系統(tǒng)命令，導(dǎo)致黑客可以取

得系統(tǒng)控制權(quán)限。

。Cookie操作攻擊

描述

Cookie信息很容易被攻擊者解密。由于Cookie是利用了網(wǎng)頁(yè)代碼中的

HTTP或者M(jìn)ETA的頭信息進(jìn)行傳遞的，因此可以改變存儲(chǔ)在客戶瀏覽

器中的設(shè)置。攻擊者修改Cookie信息，以欺詐的手段進(jìn)行輸入驗(yàn)證，

危害

通過(guò)利用此漏洞，攻擊者可以進(jìn)行固定會(huì)話攻擊。在一個(gè)固定會(huì)話攻擊中，

攻擊者使用他人的信息進(jìn)行會(huì)話，然后以用戶身份登錄到目標(biāo)服務(wù)器，最

后再消除登陸會(huì)話的ID。

網(wǎng)頁(yè)篡改

網(wǎng)頁(yè)篡改是指攻擊者利用Web應(yīng)用程序漏洞將正常的網(wǎng)站頁(yè)面替換為攻擊

16

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

者提供的網(wǎng)頁(yè)、文字、圖片等內(nèi)容。一般來(lái)說(shuō)網(wǎng)頁(yè)的篡改對(duì)計(jì)算機(jī)系統(tǒng)本身不會(huì)

產(chǎn)生直接的影響，但對(duì)于門戶網(wǎng)站等需要與客戶通過(guò)網(wǎng)站進(jìn)行溝通的應(yīng)用來(lái)說(shuō),

不僅會(huì)導(dǎo)致信息誤導(dǎo)或服務(wù)中斷造成經(jīng)濟(jì)損失，還會(huì)對(duì)組織機(jī)構(gòu)的形象和信譽(yù)帶

來(lái)嚴(yán)重的損害。

網(wǎng)頁(yè)掛馬

網(wǎng)頁(yè)掛馬也是利用Web攻擊造成的一種網(wǎng)頁(yè)篡改的安全問(wèn)題，本質(zhì)上破壞

了網(wǎng)頁(yè)的完整性，用戶訪問(wèn)掛馬的網(wǎng)頁(yè)，就會(huì)把木馬病毒帶入自己的電腦。網(wǎng)頁(yè)

掛馬會(huì)導(dǎo)網(wǎng)站的用戶成為受害者，組織結(jié)構(gòu)也會(huì)因此造成經(jīng)濟(jì)信譽(yù)的損失，并且

可能成為攻擊者的潛在幫兇而承擔(dān)相應(yīng)的法律責(zé)任。

3.1.1?4業(yè)務(wù)連續(xù)性威脅

業(yè)務(wù)連續(xù)性作為保障正常網(wǎng)站業(yè)務(wù)的關(guān)鍵要素，成為信息系統(tǒng)運(yùn)營(yíng)中最為重

要的工作之一。在某些具體情境下，業(yè)務(wù)連續(xù)性的中斷會(huì)造成嚴(yán)重的不良后果,

例如重要考試查分、重要考試報(bào)名等，對(duì)組織機(jī)構(gòu)造成聲譽(yù)和經(jīng)濟(jì)的損失。

DDOS威脅

DDOS攻擊是在眾多網(wǎng)絡(luò)攻擊中是一種簡(jiǎn)單有效并且具有很大危害性的攻

擊方式，它利用合理的服務(wù)請(qǐng)求來(lái)大量占用服務(wù)端資源，從而使合法用戶無(wú)法得

到服務(wù)的響應(yīng)，被DDOS攻擊后主機(jī)上有大量等待的TCP連接；網(wǎng)絡(luò)中充斥著

大量的無(wú)用的數(shù)據(jù)包，源地址為假；會(huì)制造高流量無(wú)用數(shù)據(jù)，造成網(wǎng)絡(luò)擁塞，嚴(yán)

重時(shí)會(huì)造成系統(tǒng)死機(jī)，使受害主機(jī)無(wú)法及時(shí)處理所有正常請(qǐng)求。

如今，隨著大數(shù)據(jù)和云計(jì)算技術(shù)的發(fā)展，DDOS的形式也越發(fā)多樣，主要特

征和變化體現(xiàn)在：

>大流量攻擊呈現(xiàn)增長(zhǎng)趨勢(shì)，過(guò)百G的攻擊越來(lái)越多；

>大流量攻擊走向云端，可能出現(xiàn)的云端攻擊形式；

>大流量攻擊在游戲行業(yè)中加劇，尤以UDP攻擊常見(jiàn)；

>小流量快攻擊變身脈沖式攻擊，實(shí)戰(zhàn)國(guó)內(nèi)外實(shí)際案例；

17

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

>小流量慢攻擊專盯業(yè)務(wù)邏輯問(wèn)題，呈現(xiàn)攻擊原理及防御；

>DDoS攻擊手段“APT”化，智能路由器溫床未見(jiàn)好轉(zhuǎn)；

敏感信息泄露

這類安全問(wèn)題主要針對(duì)Web攻擊、系統(tǒng)漏洞等攻擊造成的后臺(tái)數(shù)據(jù)庫(kù)中存

儲(chǔ)的學(xué)生資料、身份信息、考試成績(jī)、聯(lián)系方式等敏感信息的泄露。敏感信息泄

露對(duì)于教育行業(yè)來(lái)說(shuō)是致命的大兒，可能產(chǎn)生巨大的經(jīng)濟(jì)損失和不良的社會(huì)影響。

3.1?2主機(jī)安全

病毒感染

主機(jī)感染病毒木馬程序，輕則會(huì)引發(fā)主機(jī)的運(yùn)行速度變慢、主機(jī)資源性能的

消耗，重則會(huì)導(dǎo)致機(jī)構(gòu)敏感信息泄露、關(guān)鍵文件被惡意拷貝刪除、病毒在內(nèi)網(wǎng)進(jìn)

行傳播感染其他主機(jī)等嚴(yán)重破壞，給組織機(jī)構(gòu)的正常業(yè)務(wù)和工作造成不良影響。

基線脆弱性配置

伴隨組織業(yè)務(wù)的不斷發(fā)展，網(wǎng)絡(luò)規(guī)模日益擴(kuò)大，其生產(chǎn)、業(yè)務(wù)支撐系統(tǒng)的網(wǎng)

絡(luò)結(jié)構(gòu)也變得越來(lái)越復(fù)雜。其中，重要應(yīng)用和服務(wù)器的數(shù)量及種類日益增多。采

用一成不變的初始系統(tǒng)設(shè)置而忽略了對(duì)于安全控制的要求，會(huì)導(dǎo)致嚴(yán)重的風(fēng)險(xiǎn)和

威脅。

雖然基線的脆弱性配置一般不會(huì)導(dǎo)致黑客直接的入侵，但組織機(jī)構(gòu)的內(nèi)部網(wǎng)

絡(luò)往往由服務(wù)器設(shè)備集群組成，主機(jī)在具中扮演著重要的角色，基線的脆弱性配

置會(huì)給黑客以可乘之機(jī)，由存在脆弱性配置的主機(jī)或設(shè)備作為跳板，進(jìn)而達(dá)到更

深層面的入侵。

非法終端行為

在組織機(jī)構(gòu)內(nèi)部，員T的一些行為（如訪問(wèn)非法網(wǎng)站、散布組織虛假信息、

18

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

郵件敏感信息泄露、非法PC接入等）會(huì)給組織機(jī)構(gòu)帶來(lái)不良的后果和威脅，導(dǎo)

致財(cái)產(chǎn)和聲譽(yù)的損失。因此需要對(duì)內(nèi)部非法終端行為進(jìn)行審計(jì)監(jiān)控和預(yù)警，及時(shí)

阻斷非法行為給組織帶來(lái)的風(fēng)險(xiǎn)和威脅。

3?1?2.4設(shè)備資源監(jiān)控和預(yù)警

伴隨組織業(yè)務(wù)的不斷發(fā)展，網(wǎng)絡(luò)規(guī)模日益擴(kuò)大，生產(chǎn)、業(yè)務(wù)支撐設(shè)備也變得

日益繁雜，面對(duì)眾多的設(shè)備和系統(tǒng)，缺乏對(duì)其資源（如性能、利用率等）的集中

監(jiān)控和預(yù)警，會(huì)使組織日常運(yùn)維陷入被動(dòng)，疲于應(yīng)對(duì)各種告警和事件，導(dǎo)致整體

IT運(yùn)維效率的降低和其他不良的影響。

3.1.3網(wǎng)絡(luò)安全

邊界隔離與訪問(wèn)控制缺失

網(wǎng)絡(luò)邊界的作用類似圍欄，把風(fēng)險(xiǎn)和威脅抵御在邊界外部，保障內(nèi)部資產(chǎn)的

安全。而訪問(wèn)控制類似企業(yè)的安全門，放行正常的人員出入，阻止掉不法人員和

異常行為。面當(dāng)邊界隔離和訪問(wèn)控制出現(xiàn)缺失，就意味著大量的風(fēng)險(xiǎn)和威脅乘虛

向入，給組織帶來(lái)嚴(yán)重的影響和危害，造成財(cái)產(chǎn)和聲譽(yù)的損失。

網(wǎng)絡(luò)流量泛濫

在日常組織網(wǎng)絡(luò)中，鏈路中的流量豐富而泛洸、加之業(yè)務(wù)系統(tǒng)越來(lái)越多，面

臨著諸多問(wèn)題：

>業(yè)務(wù)系統(tǒng)的帶寬爭(zhēng)搶導(dǎo)致業(yè)務(wù)系統(tǒng)運(yùn)行速度的變慢；

>迅雷/BT等P2P下載、流媒體、網(wǎng)絡(luò)游戲等非工作流量搶占有限的帶

寬資源，導(dǎo)致語(yǔ)音和視頻會(huì)議、OA、ERP等業(yè)務(wù)系統(tǒng)運(yùn)行不穩(wěn)定；

>當(dāng)網(wǎng)速越來(lái)越慢，IT管理者卻無(wú)法了解具體的帶寬使用情況、流量分布

情況；

19

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

以上這些情況都會(huì)給組織的IT運(yùn)營(yíng)帶來(lái)瑣碎繁雜的問(wèn)題，使得運(yùn)營(yíng)者無(wú)法

集中精力到更有價(jià)值更有效的事情中去，浪費(fèi)其效率和時(shí)間。

3.133通訊信息泄露

無(wú)論在B/S架構(gòu)中還是C/S架構(gòu)中，數(shù)據(jù)傳輸都占著重要而關(guān)鍵的地位，

網(wǎng)絡(luò)通信的安全直接影響著承載的傳輸數(shù)據(jù)的安全。而通訊信息出現(xiàn)問(wèn)題（如明

文傳輸、弱加密等）被不法者截?cái)嗷蛘咧噩F(xiàn)會(huì)給組織帶來(lái)巨大的損失和傷害。

3.1.4數(shù)據(jù)安全

3?1.4.1數(shù)據(jù)泄漏

組織在IT運(yùn)營(yíng)過(guò)程中，經(jīng)常會(huì)面臨到諸多數(shù)據(jù)泄密的問(wèn)題，例如：

。組織核心專利技術(shù)被不法者提前復(fù)制；

令組織企劃方案被競(jìng)爭(zhēng)對(duì)手拿到；

令離職職工帶走了學(xué)校敏感文件數(shù)據(jù)；

＜關(guān)鍵文件被不法者手竊取

令CRM中的用戶信息被盜取；

正如輪胎漏氣一樣，任何細(xì)微的數(shù)據(jù)泄露都會(huì)使組織面臨著巨大的風(fēng)險(xiǎn)和威

脅。

數(shù)據(jù)審計(jì)缺失

伴隨組織業(yè)務(wù)的不斷發(fā)展，網(wǎng)絡(luò)規(guī)模日益擴(kuò)大，其生產(chǎn)、業(yè)務(wù)支撐的數(shù)據(jù)量

也越來(lái)越龐大。任何一個(gè)誤操作或者非法行為，都會(huì)導(dǎo)致數(shù)據(jù)的泄密和巨大的損

害。面對(duì)浩瀚的數(shù)據(jù)，如何發(fā)現(xiàn)其中異常的行為，以及對(duì)異常行為進(jìn)行阻斷和審

計(jì)，成為保障數(shù)據(jù)安全的核心關(guān)鍵。

20

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

3.2安全需求分析

信息系統(tǒng)安全等級(jí)保護(hù)的核心是保證不同安全保護(hù)等級(jí)的信息系統(tǒng)具有相

適應(yīng)的安全保護(hù)能力。為保障不同安全保護(hù)等級(jí)信息系統(tǒng)的安全保護(hù)能力要求，

需要針對(duì)不同安全保護(hù)等級(jí)信息系統(tǒng)應(yīng)該具有的安全保護(hù)能力提出了相應(yīng)的基

本安全要求，滿足基本安全要求是保證信息系統(tǒng)具有相應(yīng)等級(jí)的安全保護(hù)能力的

前提。

Xxx學(xué)校在等級(jí)保護(hù)建設(shè)過(guò)程中，考慮從技術(shù)和管理兩個(gè)方面提出基本安全

要求，在采取由點(diǎn)到面的各種安全措施時(shí)，系統(tǒng)整體上還應(yīng)保證各種安全措施的

組合從外到內(nèi)構(gòu)成一個(gè)縱深的安全防御體系，保記信息系統(tǒng)整體的安全保護(hù)能力。

應(yīng)從安全計(jì)算環(huán)境、區(qū)域網(wǎng)絡(luò)邊界、通信網(wǎng)絡(luò)、安全管理中心等各個(gè)層次落實(shí)本

標(biāo)準(zhǔn)中提到的各種安全措施，形成縱深防御體系。所以具名如下安全建設(shè)需求。

3.2.1安全計(jì)算環(huán)境需求分析

根據(jù)前期交流分析的結(jié)果，XXX學(xué)校XXX系統(tǒng)，如果想達(dá)到等級(jí)保護(hù)三級(jí)關(guān)

于安全計(jì)算環(huán)境的要求，還需要滿足以下需求：

主機(jī)防病毒：需要對(duì)該信息系統(tǒng)添加主機(jī)防病毒的相關(guān)安全策略，需要配置

網(wǎng)絡(luò)版上機(jī)防病毒系統(tǒng)，從而實(shí)現(xiàn)對(duì)全網(wǎng)主機(jī)的惡意代碼防范。

數(shù)據(jù)庫(kù)審計(jì)：需要對(duì)該信息系統(tǒng)添加針對(duì)數(shù)據(jù)的審計(jì)設(shè)備，不能很好的滿足

主機(jī)安全審計(jì)的要求，需要部署專業(yè)的數(shù)據(jù)庫(kù)審計(jì)設(shè)備。

主機(jī)審計(jì)（服務(wù)器增強(qiáng)系統(tǒng)或者服務(wù)器加固）：需要對(duì)該信息系統(tǒng)添加主機(jī)

自身安全策略配置不能符合要求，需要進(jìn)行服務(wù)器加固。

備份與恢復(fù)：需要對(duì)該信息系統(tǒng)添加完善的數(shù)據(jù)備份與恢復(fù)方案，需要制定

相關(guān)策略。同時(shí)，該信息系統(tǒng)沒(méi)有實(shí)現(xiàn)對(duì)關(guān)鍵網(wǎng)絡(luò)設(shè)備的冗余，建議部署雙族路

確保設(shè)備冗余。

3.2.2安全區(qū)域邊界需求分析

根據(jù)前期分析調(diào)研結(jié)果，XXX信息系統(tǒng)如按照等級(jí)保護(hù)三級(jí)建設(shè)時(shí)，根據(jù)等

級(jí)保護(hù)標(biāo)準(zhǔn)方案設(shè)計(jì)要求，還要考慮關(guān)于安全區(qū)域邊界的要求，還需要滿足以下

21

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

需求：

邊界訪問(wèn)控制：如果要做到網(wǎng)絡(luò)邊界的訪問(wèn)控制，需要部署具備訪問(wèn)控制策

略的設(shè)備，如下一代署防火墻等安全設(shè)備來(lái)實(shí)現(xiàn)。

邊界入侵防范：如果要實(shí)現(xiàn)對(duì)邊界的入侵防范，需要部署下一代署防火墻等

安全設(shè)備來(lái)實(shí)現(xiàn)。

邊界惡意代碼過(guò)濾：如果要實(shí)現(xiàn)信息系統(tǒng)的邊界惡意代碼過(guò)濾，需要部署防

病毒系統(tǒng)等安全設(shè)備來(lái)實(shí)現(xiàn)。

防web攻擊：如果要實(shí)現(xiàn)信息系統(tǒng)防WEB攻擊，需要部署WEB應(yīng)用防火

墻或者下一代署防火墻等安全設(shè)備來(lái)實(shí)現(xiàn)。

安全域邊界安全審計(jì)：需要對(duì)網(wǎng)絡(luò)邊界進(jìn)行安全審計(jì)，需要部署署網(wǎng)絡(luò)安全

審計(jì)等安全設(shè)備來(lái)實(shí)現(xiàn)。

3.2.3安全通信網(wǎng)絡(luò)需求分析

根據(jù)前期調(diào)研結(jié)果，該信息系統(tǒng)如果想達(dá)到等級(jí)保護(hù)三級(jí)關(guān)于安全通信網(wǎng)絡(luò)

的要求，還需要滿足以下需求：

通信完整性和保密性：該信息系統(tǒng)無(wú)法實(shí)現(xiàn)對(duì)邊界的訪問(wèn)控制，需要部署

SSLVPN等安全設(shè)備來(lái)實(shí)現(xiàn)。

流量管理：該信息系統(tǒng)無(wú)法實(shí)現(xiàn)對(duì)邊界的訪問(wèn)控制，需要部署流量管理系統(tǒng)

等安全設(shè)備來(lái)實(shí)現(xiàn)。

負(fù)載均衡：由于三級(jí)等級(jí)保護(hù)建設(shè)要求，重要網(wǎng)絡(luò)設(shè)備需要進(jìn)行雙機(jī)部署，

在網(wǎng)絡(luò)出口雙鏈路，同時(shí)網(wǎng)關(guān)設(shè)備雙機(jī)部署保障業(yè)務(wù)穩(wěn)定和連續(xù)性。同時(shí)滿足鏈

路質(zhì)量訪問(wèn)的穩(wěn)定性。

3.2.4安全管理中心需求分析

根據(jù)前期分析調(diào)研結(jié)果，該信息系統(tǒng)如果想達(dá)到等級(jí)保護(hù)三級(jí)關(guān)于安全管理

中心的要求，還需要滿足以下需求：

統(tǒng)一日志平臺(tái)：該信息系統(tǒng)實(shí)現(xiàn)統(tǒng)一的日志收集，需要部署SOC平臺(tái)等安

全設(shè)備來(lái)實(shí)現(xiàn)。

統(tǒng)一監(jiān)控平臺(tái)：該信息系統(tǒng)實(shí)現(xiàn)統(tǒng)一的資源監(jiān)控，需要部署網(wǎng)管系統(tǒng)等監(jiān)控

22

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

系統(tǒng)來(lái)實(shí)現(xiàn)。

統(tǒng)一管理平臺(tái)：該信息系統(tǒng)實(shí)現(xiàn)統(tǒng)一的管理，需要部署下一代防火墻等統(tǒng)一

的安全設(shè)備來(lái)實(shí)現(xiàn)。

23

SANGFOR

數(shù)育行業(yè)等級(jí)保護(hù)項(xiàng)目解決方案深信展科技

4安全框架和整體設(shè)計(jì)

4.1設(shè)計(jì)思路

本方案在進(jìn)行安全體系方案設(shè)計(jì)過(guò)程中，將根據(jù)國(guó)家信息安全等級(jí)保護(hù)相關(guān)

要求，通過(guò)分析待建系統(tǒng)的實(shí)際安全需求，結(jié)合其業(yè)務(wù)信息的實(shí)際特性，并依據(jù)

及參照相關(guān)政策標(biāo)準(zhǔn)，建立了符合待建系統(tǒng)的信息安全保障體系框架，設(shè)計(jì)安全

保障體系方案，綜合提升信息系統(tǒng)的安全保障能力和防護(hù)水平，確保信息系統(tǒng)的

安全穩(wěn)定運(yùn)行。具體設(shè)計(jì)將遵循以下思路開(kāi)展：

1.合規(guī)性建設(shè)與業(yè)務(wù)風(fēng)險(xiǎn)結(jié)合分析的思路

通過(guò)對(duì)信息系統(tǒng)現(xiàn)狀進(jìn)行實(shí)際調(diào)研，利用差距分析的方法與《信息安全技術(shù)

信息系統(tǒng)安全等級(jí)保護(hù)基本要求》（GB/T22239.2008）（以下簡(jiǎn)稱”《基本要求》”）

的控制項(xiàng)進(jìn)行符合度比對(duì)分析，掌握系統(tǒng)防護(hù)現(xiàn)狀與基線要求間的實(shí)際差距。并

采用信息安全風(fēng)險(xiǎn)評(píng)估的方法，對(duì)信息系統(tǒng)進(jìn)行全面的資產(chǎn)、脆弱性、威脅和業(yè)

務(wù)風(fēng)險(xiǎn)等方面系統(tǒng)化的測(cè)評(píng)分析，發(fā)現(xiàn)基于業(yè)務(wù)的安全風(fēng)險(xiǎn)問(wèn)題。將差距分析結(jié)

果與風(fēng)險(xiǎn)評(píng)估結(jié)果進(jìn)行充分結(jié)合與提煉，綜合形成能夠符合等級(jí)保護(hù)建設(shè)要求并

充分保障業(yè)務(wù)安全